โครงสร้างพื้นฐาน Registry ของ Coder ถูกเจาะระบบเพื่อส่งผ่านโมดูลที่เป็นอันตราย

ผู้โจมตีได้ทำการเจาะระบบโครงสร้างพื้นฐาน Cloudflare ของ Coder และเพิ่มเซิร์ฟเวอร์ Registry ที่ไม่ได้รับอนุญาตเข้าไป ซึ่งเซิร์ฟเวอร์เหล่านี้ได้ทำการส่งโมดูล Terraform ที่เป็นอันตรายที่แฝงโค้ดขโมยข้อมูล Credentials

แพลตฟอร์ม Coder ช่วยให้องค์กรสามารถจัดเตรียมสภาพแวดล้อมการพัฒนาบน Cloud แบบ Self-hosted ที่มีความปลอดภัยให้กับนักพัฒนา เพื่อใช้ในการสร้าง และ Deploy ซอฟต์แวร์ ซึ่งรวมถึงแอปพลิเคชัน AI ด้วย

โปรเจกต์นี้ถูกนำไปใช้งานโดยองค์กรเอกชน และหน่วยงานรัฐบาลชั้นนำหลายแห่ง เช่น Dropbox, Palantir, Square, Mercedes-Benz, KKR, EnBW, รัฐบาลสหรัฐอเมริกา และบริษัทด้านกลาโหม

เมื่อช่วงต้นสัปดาห์ที่ผ่านมา Coder ได้เปิดเผยว่ามีผู้โจมตีที่มุ่งเป้าไปที่ registry[.]coder[.]com ซึ่งเป็น Site สำหรับ Host แพ็กเกจของโปรเจกต์ ที่นักพัฒนาใช้เป็นแหล่งค้นหา Components สำหรับ Workspace templates ของตน

แม้ว่า Registry ของ Coder จะทำงานอยู่เบื้องหลังระบบของ Cloudflare แต่ผู้โจมตีก็สามารถเข้าถึงโครงสร้างพื้นฐานระดับล่าง และทำการเพิ่มเซิร์ฟเวอร์ที่ไม่ได้รับอนุญาตเข้าไปในระบบ Pool ของ Registry ได้สำเร็จ

ส่งผลให้ระบบของ Cloudflare ทำการส่งต่อ Requests เข้าใช้งาน Registry บางส่วนไปยังเซิร์ฟเวอร์ของผู้โจมตี แทนที่จะเป็นเซิร์ฟเวอร์ที่ถูกต้องของ Coder ทำให้เกิดการ Delivering ไฟล์ที่เป็นอันตรายไปยังผู้ใช้งานกลุ่มหนึ่ง

ประกาศแจ้งเตือนด้านความปลอดภัยของ Coder ระบุว่า "ผู้ไม่หวังดีที่ได้เจาะเข้าสู่ระบบโครงสร้างพื้นฐาน Cloudflare ของ Coder และทำการเพิ่ม IP addresses ที่ไม่ได้รับอนุญาตลงใน Pool ที่ใช้งานสำหรับ Module Registry ของ Coder"

"IP addresses ที่ไม่ได้รับอนุญาตเหล่านี้ได้ Registry hosted ของ Coder ในเวอร์ชันที่มี Artifacts แฝงโค้ดที่เป็นอันตรายเอาไว้"

ทางโปรเจกต์เปิดเผยว่าช่วงเวลาที่มีการ Delivery artifacts ที่เป็นอันตรายดังกล่าว เกิดขึ้นระหว่างเวลา 07:35 UTC ถึง 21:45 UTC ของวันจันทร์ที่ 31 สิงหาคม 2026

ในช่วงเวลาดังกล่าว เซิร์ฟเวอร์ที่เป็นอันตรายได้ Delivered โมดูล Terraform เวอร์ชันที่ถูกดัดแปลง (โดยโมดูล Terraform คือชุดคำสั่งสำเร็จรูปที่ใช้สำหรับสร้าง และกำหนดค่าโครงสร้างพื้นฐานด้านการประมวลผล)

Coder ระบุว่า โมดูลที่เป็นอันตรายเหล่านี้ทำหน้าที่เป็นมัลแวร์ Information Stealers บน Hosts ที่ตกเป็นเหยื่อ โดยจะไล่ค้นหาข้อมูลดังต่อไปนี้

• Environment variables และข้อมูล Secrets ของ Provisioner
• API keys ของโครงสร้างพื้นฐานบน Cloud และเครื่องมือด้าน AI
• ข้อมูล Credentials ของระบบ CI/CD
• ข้อมูล Secrets ใน Configuration-file และประวัติการพิมพ์คำสั่งใน Terminal (Terminal history)
• OIDC tokens ของผู้ใช้งาน
• SSH keys ที่ถูกตั้งค่าไว้
• Tokens สำหรับการยืนยันตัวตนกับระบบภายนอกแบบใช้ครั้งเดียว
• รหัสผ่านฐานข้อมูล Coder และข้อมูล Secrets ในการตั้งค่าอื่น ๆ ในกรณีที่ Provisioner ทำงานอยู่ภายใน ‘coderd’

ข้อมูลที่รวบรวมได้จะถูกแอบส่งออกไปยังโดเมนเลียนแบบที่ชื่อ ‘coder-infra[.]com’

ขอแนะนำให้ผู้ใช้งานที่คาดว่าจะได้รับผลกระทบ ทำการ Rotate ข้อมูล Secrets ทั้งหมดที่ระบุไว้ในรายการข้างต้นโดยเร็วที่สุด

ก่อนที่จะทำการอัปเกรดเป็นเวอร์ชันที่ได้รับการแก้ไข ได้แก่เวอร์ชัน 2.37.0, 2.36.4, 2.35.7 และ 2.34.9 ทาง Coder แนะนำให้ผู้ใช้งานตรวจสอบ Log ของ Firewall, Proxy, DNS และ VPC flow เพื่อค้นหาประวัติการเชื่อมต่อไปยังโดเมน coder-infra[.]com

นอกจากนี้ นักพัฒนาควรค้นหาคำว่า data.external.telemetry ใน Log ของ Provisioner พร้อมทั้งระบุโมดูลที่มีการดาวน์โหลดในช่วงเวลาที่เกิดช่องโหว่ และทำการล้างแพ็กเกจที่ Cached ไว้ซึ่งอาจเป็นอันตรายทิ้งไป

เพื่อช่วยให้ผู้ใช้งานสามารถตรวจสอบได้ว่าตนเองได้รับผลกระทบหรือไม่ Coder ได้แชร์คำสั่ง SQL ที่สามารถใช้ค้นหาโมดูลที่ถูก Cached และ Template เวอร์ชันต่าง ๆ ที่อาจได้รับผลกระทบ

ทางโปรเจกต์ระบุว่าไม่มีการส่ง Refresh tokens ไปยัง Provisioner และยังไม่พบหลักฐานใด ๆ ที่แสดงให้เห็นว่ามีผลกระทบต่อข้อมูลของลูกค้าที่บริษัทดูแลอยู่

อย่างไรก็ตาม เนื่องจากโครงสร้างพื้นฐานของผู้โจมตีอยู่นอกเหนือการควบคุมของโปรเจกต์ ทาง Coder จึงไม่สามารถเข้าถึง Log ข้อมูลที่สำคัญ และไม่สามารถระบุระบบที่ถูกเจาะทั้งหมดได้อย่างแน่ชัด

ที่มา : Bleepingcomputer